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Abstract of NL1016345C 

Separate electric connections regulated by microcontrollers (1, 13) are provided between the 
equipment and the safety part and control part of the safety system. These separate connections 
communicate with each other regarding the status of the equipment being monitored and the control 
function can only be operated once the safety function has been tested and found to be in order. The 
equipment is switched off if there is a threat of an unsafe situation arising, e.g. too high a temperature, 
pressure or voltage, or in the event of a fault in the safety system. 
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@ Elektronlsch systeem voor het waarborgen van de veiligheid van elektronisch gestuurde apparaten. 



@ Een elektronisch veiligheidssysteem voor apparaten waarvoor een geschelden beveiligingssysteem wettelijk 
verplicht is zoals bijvoorbeeld voor warmwaterboilers en zware motoren. Het systeem omvat een regeldeel 
met een eigen sensor ten bate van de te regelen grootheld en een veiligheidsdeel met een eigen sensor. Het 
regeldeel en het veiligheidsdeel kunnen met elkaar communiceren via twee optocouplers. Door deze optocou- 
plers en doordat beide delen elk een eigen elektrische voeding hebben kan het veiligheidsdeel als referentie 
de Neutral van het net gebruiken en het regeldeel de veiligheidsaarde. Doordat het regeldeel de veiligheids- 
aarde als referentie heeft, kunnen in principe extern© apparaten aangesloten worden zonder toepassing van 
optocouplers. Doordat het regeldeel en het veiligheidsdeel continu met elkaar communiceren is het mogelijk 
geworden om de goede werking van de schakelaars in beide delen te controleren. De etsen aan de relais in 
het veiligheidsdeel kunnen sterk vertaagd worden daar deze elektrische schakelaars onder normale omstan- 
digheden nooit belast geschakeld worden. Het systeem kan zelf constateren of het regeldeel goed heeft 
gefunctioneerd nadat gemeld is dat een regetfase is afgesloten. Bij het wegvallen van de communicatie zal 
de software in het regeldeel zorgen voor direct afschakelen van de belastingen. Wanneer het regeldeel weer 
aan een nieuwe regelfase wil gaan beginnen zal aan het veiligheidsdeel een verzoek worden gestuurd om 
spanningen aan het regeldeel aan te bieden. Nadat diverse tests tevredensteilend zijn uitgevoerd, zullen de 
spanningen worden geschakeld en het regeldeel hierover worden geirtformeerd. 
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j De inhoud van dit octrooi komt overeen met de oorspronkelijk ingediende beschrijving met conclusie(s) en 
Z eventuele tekeningen. 
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Elektronisch systeem voor het waarborgen van de veiligheid van elektronisch gcstuurde apparaten. 

De uitvinding betreft een concq)t van een elektronisch regelsysteem bestaande uit een elektronisch 
regeldeel en een elektronisch veiligheidsdeel waarmee gewaarborgd wordt dat bij het optreden van een 
5 foul het apparaat wordt uitgeschakeld voordat er een gevaarlijke situatie, zoals bijvooibeeld een te hoge 
temperatuur, spanning of druk kan ontstaan. 

De huidige stand van de techniek is dat bij veel apparaten nog steeds gebruik wordt gemaakt van een &n- 
of meerfasige mechanisch / hydraulische veiligheidsschakelaar welke de spanningstoevoer naar de 

10 regelaar onderbreekt wanneer een maximaal ingestelde waarde in het te regelen proces wordt 

overschreden. In het geval van regelen van een temperatuur moet volgens de geldende nonnen en 
richtlijnen het toestel of apparaat voorzien zijn van een overteraperatuur beveiliging, die bij het falen van 
de temperatuuiregeling het toestel bij het bereiken van een vastgestelde maximale temperatuur afschakelt 
De temperatuunneting wordt veelal gedaan op basis van de kubieke uitzettingscoefi&cignt van een 

15 vloeistof in een reservoir dat via een capillair buisje veibonden is met een tweede ruimte met vloeistof. 
Deze tweede ruimte wordt aan een zijde begrensd door een membraan, die bij een bepaalde verplaatsing, 
veroorzaakt door de te hoge temperatuur, een of meerdere schakelaars opent waaidoor de stroomtoevoer 
woidt onderbrokea Het toestel kan daama alleen door een gekwalificeerd persoon weer in bedrijf worden 
gebracht 

20 Daarnaast bestaan er elektronisch beveiligde regelingen voor onder andere elektrische 

doorstroomverwanneis, waaibij de elektronica van het regeldeel, wanneer laatstgenoemde goed 
functioneeit, een vrijgavesignaal in de vorm van een cyclisch veranderende spanning aan het 
veiligheidsdeel doorgeeft (Bijvooibeeld patentpublicatie DE 44 16 789 Al van 16-11-1995.) 
Bij de genoemde toestellen volgens de huidige stand der techniek zijn de volgende bezwaren aanwezig: 
25 1. Bij hedendaagse apparaten en toestellen moet naast de vaak zeer geavanceerde elektronische regeling 
de genoemde veiligheidsschakelaar ook nog in het toestel gemonteerd worden. Deze 
veiligheidsschakelaars zijn relatief groot en zeer moeilijk of niet automatisch te monteren. 
2. De genoemde mechanisch / hydraulische veiligheidsschakelaars worden tijdens de levensduur van 
een toestel nooit op goede werking getest 
30 3 . Tijdens de eindmontage van een toestel moet het reservoir (temperatuursensor) van de mechanisch / 
hydraulische veiligheidsschakelaar op de te bemeten positie aangebracht worden. Er moet scherp op 
gelet worden dat het genoemde capillaire buisje goed gemonteerd wordL Het afknellen / knikken van 
het capillaire buisje kan leiden tot het niet functioneren van de veiligheidsschakelaar. 
4. De temperatuursensor indusief capillair is niet te scheiden van de feitelijke veiligheidsschakelaar. 
35 Het is daaidoor niet mogelijk de temperatuursensor en de veiligheidsschakelaar tijdens het 

productieproces verschillende logistieke wegen te laten volgen. 
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5. De genoemde elektronisch beveiligde elektronische regelingen voldoen niet aan de normen voor 
onder andere bepaalde huishoudelijke apparaten waar een onafhankelijk van de regelfunctie 
fiinctionerende veiligheidsfunctie is vercist. 

De uitvinding geeft een oplossing voor de hiervoor genoemde bezwaren door gebruik te maken van twee 
door microcontrollers gestuurde deelschakelingen. Een van de deelschakelingen neemt in feite onder 
andere de functie over van de traditionele overtemperatuurbeveiliging. Doordat de genoemde 
deelschakeling via een galvamsche scheiding kan conununiceren met de andere microcontroller gestuurde 
deelschakeling die de regelfunctie verzorgt, wordt een elektronisch systeem gerealiseerd dat naast de 
regelfunctie tevens de veiligheid waarborgt Alle elektronische onderdelen die nodig zijn voor de 
realisatie van de vemgheidsfunctie, kunnen nu op dezelfde printplaat worden aangebracht als die waarop 
de componenten voor de regelfunctie worden geplaatst Doordat de veiligheidsfunctie elektronisch is 
gerealiseerd, kan ook de werking hiervan frequent worden getest. De gebruikte sensoren worden via 
elektrische bedrading, indien nodig stekerbaar, met de printplaat verbonden 
15 Aan de hand van de figuren worden de principes toegelicht en worden toepassingen verklaard 

Figuur 1 toont het blokschema van een elektronische schakeling waarmee het principe van en de werking 
van het veiligheidssysteem verklaard zai worden, 

Figuur 2 toont een mogelijk elektronisch schakelschema waarmee het afvallen van de relais van het 
veiligheidsdeel, in het geval van het uitvallen van de microcontroller, moet waarborgen. 

20 

Om te kunnen voldoen aan de veiligheidsnormen die onder andere gesteld worden aan huishoudelijke 
apparaten zoals waxmwaterboilers, moeten het regeldeel en het veiligheidsdeel, welke laatstgenoemde de 
functie heeft de netspanning in het geval van het overschrijden van een maximaal aanvaardbare 
temperatuur af te schakelen, onafhankelijk van elkaar funcuoneren. Dat betekent dat elke functie over een 
25 eigen temperatuursensor moet beschikken. 

In het concept van deze uitvinding wordt voor elke fase van de netspanning een tweetal onafhankelijk 
gestuurde schakelaars, meestal relais, in serie geschakeld. 

Voordat een belasting (bijvoorbeeld een venvarmingselement van een boiler) wordt aangestuurd, wordt 
eerst gecontroleerd of de schakelaars in orde zijn. Bij dit concept is de microcontroller van de 
30 veih'gheidsfunctie de 'master* van het elektronische systeem. Dat wil zeggen dat het veiligheidsdeel 

bindende opdrachten aan het regeldeel kan doorgeven. Het regeldeel heeft een eigen microcontroller en 
temperatuursensor voor de eigenlijke regelfunctie. 

Aan de hand van figuur 1 wordt het concept toegelicht In principe bestaat het concept uit drie functionele 

delen, die als volgt zijn opgebouwd: 
35 1. het veiligheidsdeel bestaande uit de elektrische voeding (19), microcontroller (1), temperatuursensor 
(17), voedmgsschakeling voor de veiligheidsrelais (2), relais of relaisgroep (3), de netwerken voor 
het testen van spanningen (4 / 5) en (6 / 7), schakelaar (8) en een weerstand(9) 
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2. het regeldeel bestaande uit de clektrische voeding (20), microcontroller (13X temperatuursensor (18) 
en het relais of de relaisgroep (14) 

3. het bedieningsdeel (16). 

Verder bevat het te regelen toestel het verwarmingselement of de verwanningseleraenten (15). 
5 Voor de duidelijkheid wordt de functie van elk van de blokken in figuur 1 hieronder nader toegelicht 

1 . Microcontroller van het veiligheidsdeel. 

2. Schakeling waarbij de aanwezigheid van twee dynamische ingangssignalen noodzakelijk is om een 
relais of relaisgroep van spanning te kunnen voorzien Zodra de genoemde signalen een statische 
toestand aanmtmen, worden alle relais (3) die periodiek op goed functioneren worden getest, 

10 afgeschakeld. 

3. Een relais of relaisgroep die alleen dan geschakeld kan worden ais vooraf getest is dat het schakelen 
zonder belasting zal geschiedea Alleen in het uiterste geval (als een schakelaar uit relaisgroep (14) 
niet kan worden afgeschakeld) zal onder belasting afgeschakeld worden. 

4. Hoogspanningsweerstanden (aantal afhankel ijk van het aantal spanningen op de klemmen ( 1 0 1 ). 
15 5. Condensator die samen met een hoogspanningsweerstand (4) een netwerk vormt om op een inpm g 

van microcontroller (1) de aanwezigheid van een spanning op Idem (10 1 ) aan te kunnen tonen. 
6. Weerstand zoals genoemde weerstand (4), om het geopend zijn van een contact uit relaisgroep (3) te 
bewijzea Het aantal weerstanden is gelijk aan het aantal beschikbare spanningen op de klemmen 
(10 1 ). 

20 7. Een condensator zoals genoemde condensator (5), die samen met hoogspanningsweerstand (6) een 

netwerk vormt om op een ingang van microcontroller (1) de arwezigheid van een spanning achter een 
contact uit relaisgroep (3) te bewijzen. 

8. Elektronische schakelaar om vast te stellen of de contacten van schakelgroep (14) geopend zijn, zodat 
de contacten van relaisgroep (3) onbelast kunnen inscbakelea Deze elektronische schakelaar voedt 

25 evenveei hoogspanningsweerstanden (9) als het aantal beschikbare spanningen op klem (10 1 ). 

9. Hoogspanningweerstand(en), gelijk aan het aantal gebruikte spanningen, om te testen of de contacten 
van schakelgroep (14) geopend zija 

10. Netaansluiting (10 1 ). Bij driefasige vemogenssturing zijn de componenten 3, 4, 5, 6, 7 en 9 
drievoudig aanwezig. Op de onderste klem (10 3 ) is de Neutral aangeslotea 

30 Netaansluiting (10 2 ). ffier is alleen LI voor de voeding van de elektronica zelf aangeslotea De 

spanning LI is 6&a van de spanningen die ook op de getekende klem 10 1 is aangeslotea 

11. Optocoupler voor dataoverdracht van het veiligheidsdeel naar het regeldeel. 

12. Optocoupler voor dataoverdracht van het regeldeel naar het veiligheidsdeeL 

13. Microcontroller van het regeldeel. 

35 14. Schakelaar of schakelgroep voor het in- en uitschakelen van de belastingen (in dit voorbeeld 
verwarmingselementen). 
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15. Een tot meerdere belastingen (Een aantal van drie bij een driefasen aansluiting.) 

16. Bedieningseeaheidvanhet apparaat. 

17. Sensor van het veiligheidsdeel (in dit voorbeeld een temperatuursensor). 

18. Sensor van het regeldeel (in dit voorbeeld een temperatuursensor). 
5 19. Elektrische voeding van het veiligheidsdeel. 

20. Elektrische voeding van het regeldeel. 

21. Aansluitklem voor de veiligheidsaarde. 

De optocouplers (1 1) en (12) maken het mogelijk dat het genoemde veiligheidsdeel en het regeldeel met 
10 elkaar kunnen communiceren, terwijl er een zeer goede gaivanische scheiding tussen genoemde delen is 
gerealiseerd. Door deze elektrische scheiding kunnen het bediendeel (16) en evenhieel andere 
verbindingen met externe elektronica op het regeldeel aangesloten worden, daar de veiligheidsaarde (21) 
het nulpotentiaal van het regeldeel is. 

De relaiscontacten (3) en (14) zijn nonnaal open wanneer het systeem niet op de netspanning is 
15 aangesloten. Wanneer er spanningen op de klemmen ( 10) (10 1 , 10 2 en 10 3 ) aanwezig zijn, starten beide 

microcontrollers (1) en (13) op. Tijdens de genoemde opstartfase wordt voorkomen dat de relais (3) in het 
veiligheidsdeel of de relais (14) in het regeldeel bekrachtigd worden. Omdat beide microcontrollers niet 
gehjktijdig opexationeel zijn, is het toegestaan dat de communicatie tussen de twee microcontrollers 
enigszins vertraagd tot stand komt In de meeste toepassingen is bijvoorbeeld een seconde aanvaardbaar. 
20 Direct vanaf het opstarten meet microcontroller (1) zo vaak mogeujk de temperatuur met behulp van 
sensor (17). In een niet-vluchtig geheugen, in of aangesloten aan microcontroller (1) is de maximaal 
aanvaardbare temperatuur opgeslagen. 

Het genoemde niet vluchtige geheugen kan bijvoorbeeld een E 2 Prom of zelfs een niet beschrijfbare Prom 
of Rom zijn. Ook wordt zo vaak als maar mogelijk over de RC-netwerken (4) / (5) en (6) / (7) 

25 respectievelijk voor en achter de schakelcontacten van relaisgroep (3) gemeten. Met behulp van de RC- 
netwerken (4) / (5) wordt gecontroleerd welke netspanningen van LI, L2 en / of L3 aanwezig zija De 
genoemde netspanningen en Neutral (Nulspanning van het net) worden respectievelijk op de klemmen 
(10 1 ) en (10 3 ) aangesloten. Qm de elektronica te laten functioneren is roiiurnaal Neutral en LI aanwezig, 
die resr^ctievelijk zijn aangesloten op de klemmen (10 2 ) en (10 3 ). 

30 Na het assembleren van een toestel, bijvoorbeeld een door elektrische energie gevoede warmwaterboiler, 
kan de regelsensor (18) van het regeldeel gekalibreerd worden. 

Deze genoemde regelsensor (18) kan naast een temperatuursensor ook een integraalsensor zijn waarmee 
tevens de warmte-inhoud van een boiler bepaald kan worden. Tijdens de eindtest in de fabriek kan 
microcontroller (13) in een toestand worden gebracht, waardoor een bepaalde correctiefactor in een met* 
35 vhichtig geheugen van of bij microcontroller (13) geschreven wordt 
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Deze genoemde correctiefactor is in feite de waarde die microcontroller (13) van het regeldeel nodig heeft 
om binnen een bepaalde tolerantie de temperatuur of warmte-inhoud te kunnen metea Het kalibreren van 
sensor (18) is mogelijk omdat de nauwkeurige sensor (17) van het veiligheidsdeel en de sensor (18) van 
het regeldeel na het assembleren van het geheel, binnen een bepaalde maximale arwijking, dezelfde 

5 temperatuur hebbea Microcontroller (1) van het veiligheidsdeel communiceert de gemeten waarde van 
sensor (17) via optocoupler (11) naar microcontroller (13) van het regeldeel. Na deze kalibratie is het 
regeldeel in staat om de temperatuur nauwkeurig naar een bepaalde gewenste, op het bedieningsdeel 
ingestelde waarde te regelen. Zelfs in het geval dat bij deze kalibratie tijdens de productie een font zou 
worden gemaakt, zal microcontroller (1) ervoor zorgen dat bij het bereiken van een te hoge temperatuur 

10 de relaisgroepen (14) en (3) worden gedeactiveerd. De software van het veiligheidsdeel en het regeldeel 
kunnen er in de praktijk voor zorgen dat op een bepaald moment bij een van tevoren bepaalde te grate 
afwijking tussen de gemeten temperaturen, het systeem wordt af geschakeld Indien na het uitvallen van 
de genoemde regelunit het noodzakelijk is deze uit te wisselen, kan de installateur de in het toestel 
geplaatste regelunit in een toestand zetten, waardoor de sensor van het regeldeel wordt gekalibreerd 

15 Tevens is het mogelijk dat de regelsensor, indien gewenst, periodiek automatisch tijdens bedrijf wordt 
gekalibreerd. 

De eisen die aan relais worden gesteld en die in geval van nood een elektrische belasting moeten 
afschakelen zijn zeer hoog. Een voorwaarde is bijvoorbeeld dat een relais 250000 keer onder 
bedrijfsomstandigheden meet kunnen afschakelen. Om de eisen aan deze relais sterk te reduceren is in het 
20 concept van deze uitvinding opgenomen dat de relais van de relaisgroep (3) die in geval van nood de 

stroomtoevoer naar de belastingen moeten afschakelen, tijdens normaal bedrijf altijd pas dan afschakelen 
als de schakelaars van het regeldeel (14) de stroomtoevoer hebben onderbroken. Bij dit concept worden 
de genoemde relais van het veiligheidsdeel onder normale bedrijfeomstandigheden nooit onder belasting 
aan- of afgeschakeld. 

25 In het geval dat het regeldeel &n of meerdere energieamemers (in het voorbeeld verwannmgselementen) 
van energie wil voonden, wordt via optocoupler (12) een verzoek bij het veiligheidsdeel ingediend om de 
spanningen op de ingangen van het regeldeel in te schakelen. Het regeldeel zal de benodigde schakelaars 
pas dan activeren wanneer via optocoupler (1 1) het bericht is binnengekomen dat het aangevraagde 
verzoek door het veiligheidsdeel is uitgevoerd. Voordat dit bericht echter door het veiligheidsdeel 

30 verzonden wordt moet het veiligheidsdeel een aantal controles uitvoeren. 

Eerst wordt gecontroleerd of de onafhankelijk van elkaar gestuurde contacten van de relaisgroep (3) en 
relaisgroep (14), die in serie geschakeld zijn, zich in de geopende toestand bevindea 
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Deze controle wordt als volgt uitgevoerd: 

• met de netwerken (4) / (5) wordt getest of er spanningen op de klemmen (10 1 ) aanwezig zijn (er 
worden spanningen op de betreffende ingangen van microcontroller (1) gemeten), 

• met de netwerken (6) / (7) wordt gecontroleerd of de contacten van relaisgroep (3) alle geopend zijn 
5 (er worden dan geen spanningen op de betreffende ingangen van de microcontroller (1) gemeten), 

• schakelaar 8 wordt geactiveerd en er wordt wederom met de netwerken (6) / (7) gecontroleerd of de 
contacten van relaisgroep (14) geopend zija Wanneer een contact van relaisgroep (14) niet geopend 
is, zoals bij een foutsituatie kan optreden, wordt bij de bijbehorende ingang van de microcontroller 
(1) geen spanning gemeten. Dit wordt veroorzaakt door de laagohmige belasting (15) en de 

10 hoogohmige weerstand (9). 

Wanneer tijdens de hiervoor genoemde testvoorgang een fout wordt gevonden, wordt direct daarna het 
veiligheidsdeel in een vergrendelende toestand gezet. In dat geval wordt in het niet-vluchtige geheugen 
van microcontroller (1) een datalocatie beschreven die het activeren van relaisgroep 3 onmogelijk maakt 
Ook wordt microcontroller (13) van het regeldeel wordt via optocoupler (1 1) over de fout gelnformeerd. 

15 Het regeldeel beschrijft dan tevens een datalocatie in het niet-vluchtige geheugen van de eigen 

microcontroller (13). Hierdoor zal ook het regeldeel niet meer in staat zijn om relais uit de schakelgroep 
(14) te activeren. Microcontroller (13) kan in laatst genoemde toestand blijven communiceren met het 
bediendeel (16). Daardoor kan de gebruiker van het toestel geuiformeerd worden over de opgetreden fout. 
Zelfs bij het laten wegvallen en het iaten terugkeren van spanning zal het regelsysteem niet meer in de 

20 operationele toestand terug kunnen keren. Pas na het activeren van een niet vrij toegankelijke resettoets, 
zal het regelsysteem weer trachten operationeel te wordea 



Omdat het veiligheidsdeel en het regeldeel ononderbroken met elkaar conununiceren, is het erg 
eenvoudig om het andere deel te informeren over een bestaande fout Zelfs in het geval dat een van de 
processors staakt, wordt dat door het stagneren van de communicatie herkend. De executerende software 
van de nog werkende microcontroller of microcontrollers (er kan immers ook een fout in het 
communicatiekanaal over de optocouplers (1 1) en (12) aanwezig zijn), zorgt dan voor het openen van de 
contacten. 

In het geval dat beide microcontrollers gelijktijdig zouden uitvallen en in een stausche toestand zouden 
terechtkomen, zorgt blok (2) ervoor dat de voeding naar relaisgroep (3) wordt onderbrokea De 
schakeling van blok (2) van figuur 1 kan er als volgt uitzien. (Er zijn andere opties met onder andere een 
transformator mogelijk om de voeding naar relaisgroep (3) te onderbreken als microcontroller (1) in een 
statische toestand komt) Zie hiervoor figuur 2. 

Zolang de twee getekende uitgangen van de microcontroller twee tegenfasesignalen afgeven met een 
duty-cycle van circa 50 procent bij een voldoend hoge frequentie, wordt het getekende relais RY1 
gevoed 
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De diodenbnig (B 1) wordt in tegenfase via de twee condensatoren (C 1) en (C2) aangestuurd Wanneer de 
microcontroller staakt en daardoor de twee uitgangen een statische toestand aannemen, wordt de 
stroomtoevoer naar de relaisspoel onderbrokea Als een microprocessoruitgang logisch nul is, kunnen de 
punten 1 en 3 van respectievelijk de condensatoren (CI) en (C2) op nagenoeg nul volt komen te staaa In 

5 dat geval wordt aansturing van de relaisspoel onmiddeilijk onderbroken. In het geval dat echter 6en of 
beide uitgangen een logisch &n potentiaal of een potentiaal waarbij 6en of beide transistors (Tl) of (T3) 
in geleiding kunnen komen, zullen de punten 1 en 3 van de condensatoren (CI) en (C2) op een potentiaal 
van nagenoeg +12 volt kunnen komea In dit geval worden &n of beide genoemde condensatoren 
opgeladen door de stroom die door het relais (RY1) stroomt Ruira binnen een seconde zijn de genoemde 

10 condensatoren zover opgeladen dat de resulterende spanning over het relais beneden de houdspanning 

komt, waardoor het relais zal afvallen. In de software zijn maatregelen genomen om te voorkomen dat bij 
een fout uitgevoerd programma of door een softwaref out het genereren van de twee tegenfase signalen 
wordt voortgezet 

15 Elke keer nadat de relaiscontacten van de relaisgroep (3) en de contacten van schakelgroep (14), zoals 

hiervoor beschreven tevredenstellend zijn getest, zal microcontroller (1) beide ingangen van blok (2) met 
een logisch een spanning aansturea Met dezfc actie wordt gecontroleerd of de condensatoren (CI) en (C2) 
geen verhoogde lekstroom of een kortsluiting hebben. In het geval dat deze genoemde fout bij den of 
beide genoemde condensatoren aanwezig is, dan worden de relais van relaisgroep (3) geactiveerd. Met 

20 behulp van de RC-netwerken (6) / (7) wordt, zoals voorheen uitgelegd, gecontroleerd of alle contacten 
van relaisgroep (3) binnen 66n seconde in de geopende toestand zijn. Door goed dimensioneren van 
componentwaarden is het, indien gewenst, mogelijk te voorkomen dat de relais kortstondig opkomen. 
Nadat vastgesteld is dat de genoemde condensatoren niet fout zijn, worden de twee genoemde uitgangen 
in tegenfase aangestuurd In de genoemde uitvoering van blok (2) door het schema volgens figuur 2, zou 

25 een frequentie van 3 KHz voldoende zijn om een relaisgroep te voedea Het goed opkomen van de relais 
in relaisgroep (3) wordt wederom getest door de RC-netwerken (6) / (7). 

Zodra bet veiligheidsdeel de bedrijfsspanningen voor het regeldeel beschikbaar heeft, wordt het regeldeel 
via optocoupler (1 1) hierover geinfonneerd. De microcontroller (13) van het regeldeel weet dan dat de 
benodigde schakelaars in schakelaargroep (14) voor regeldoeleinden gebruikt mogen wordea 
30 Nadat het regeldeel de te regelen eindwaarde heeft bereikt, (in het geval van een elektrische boiler is dat 
de gewenste temperatuur van het water) zullen alle contacten van schakelgroep (14) naar de geopende 
toestand moeten gaaa Het regeldeel roeldt dit via optocoupler (12) aan het veiligheidsdeel Hierdoor 
wordt gegarandeerd dat de contacten van relaisgroep (3) onder nonnale omstandigheden nooit belast 
zullen afschakelea 
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Het veiligheidsdeel controleert na het openen van de contacten van relaisgroep (3) met de RC-netwerken 
(6) / (7) of relaisgroep (3) alle contacten ook werkelijk heeft kunnen openen. Als deze test goed verlopen 
is zal microcontroller (1) schakelaar (8) activerea Via de weerstanden (9) en de RC-netwerken (6) / (7) 
zal gecontroleerd worden of de contacten van schakelgroep (14) werkelijk geopend zija 

5 

Wanneer op enig moment een fout in het totale systeem wordt gesignaleerd wordt er eerst een opdracht 
om schakelgroep (14) te deactiveren naar het regeldeel gestuurd voordat relaisgroep (3) zal worden 
afgeschakeld. Hierdoor zullen de contacten van relaisgroep (3) normaal nooit belast afschakelen. 

10 De twee sensoren van het veiligheidsdeel (17) en van het regeldeel (18) worden voortdurend getest op 

goed functionerea Een kortsluiting of isolatie worden direct door de analoog naar digitaal omzetters in of 
bij de microcontrollers (1) en (13) opgemerkt Door de constante communicatie tussen het regeldeel en 
het veiligheidsdeel wordt, vooral bij het benaderen van de gewenste eindtemperatuur (of andere grootheid 
dan temperatuur), een vergelijking van dc twee gemeten waarden uitgevoerd. Zoals genoemd kan een te 

15 grote afwijking leiden tot afschakelen van het systeem. In tegenstelling tot het waarborgen van de 

veiligheid volgens de huidige stand der techniek zal het uitschakelen van het systeem bij een fout in het 
regeldeel volgens dit nieuwe concept veelal feeds geschieden als de gewenste temperatuur in een te 
bepalen mate overschreden wordt Bij een conventional systeem zal de hydraulisch / mechanische 
veiligheidsschakelaar pas reageren als een absolute maxi rmimtemperatuur wordt overschreden. 

20 

Microcontroller (1) kan naast het uitvoeren software voor de veiligheid en communicatie ook op een lager 
prioriteitsniveau taken uitvoeren voor het meten en sturen van aan Neutral gerelateerde spanningea 
Hierdoor kan bijvoorbeeld microcontroller ( 1 3) van het regeldeel via optocoupler (11) geinformeerd 
worden over het al of niet aanwezig zijn van een spanning die aangeeft dat het nachtstroomtarief geldt 
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CONCLUSBES 

1. Een elektronisch veiligheidssysteem ten behoeve van apparaten waarvoor een gescheiden 
beveibgingssysteem wettelijk verplicht is zoals bijvoorbeeld voor warmwater boilers en zware 
motoren, met het kenmerk, dat gescheiden elektronische schakelingen worden toegepast voor zowel 
de beveiligingsfiinctie (het veiligheidsdeel) als voor de regelfunctie (het regeldeel), welke gescheiden 
schakelingen met elkaar communiceren over de status van het te beveiligen apparaat en waarbij de 
regelfunctie pas geactiveerd kan worden nadat de beveiiigfogsfunctie getest en in orde bevonden is 
en waarbij het apparaat uitschakelt indien een onveilige situatie dreigt zoals bijvoorbeeld bij een te 
hoge temperatuur, een te hoge druk of een te hoge spanning, of bij het optreden van een storing in het 
genoemde elektronisch veiligheidssysteem. 

2. Een elektronisch veiligheidssysteem volgens conclusie 1 , met het kenmerk, dat het veiligheidsdeel 
pas spanningen ten bate van de toevoer van enexgie naar de belasting aan het regeldeel zal aanbieden 
als het regeldeel via de genoemde communicatie een verzoek daartoe bij bet veiligheidsdeel heeft 
ingediend en na het automatisch uitvoeren van testen is aangetoond dat de rclais of andere 
schakelaars van zowel het veiligheidsdeel als het regeldeel zich in de geopende toestand bevinden, 
zodat gegarandeerd is dat bij het inschakelen van de genoemde spanningen door het veiligheidsdeel 
de schakelaars van het veiligheidsdeel onbelast geschakeld zullen wordea 

3 . Een elektronisch veiligheidssysteem volgens £en of meer der bovenstaande conclusies, met het 
20 kenmerk, dat het veiligheidsdeel pas de spanningen naar het regeldeel zal afschakelen als het 

veiligheidsdeel door middel van de genoemde communicatie met het regeldeel ge'mformeerd is over 
de geopende toestand van de schakelaars van het regeldeel, zodat bij het goed functioneren van het 
regeldeel gegarandeerd is dat bij het uitschakelen van de genoemde spanningen door het 
veiligheidsdeel de schakelaars van het veiligheidsdeel onbelast geschakeld worden. 

25 

4. Een elektronisch veiligheidssysteem volgens &n of meer der bovenstaande conclusies, met het 
kenmerk, dat het in het geval van het overschrijden van een vooraf ingestelde waarde waarbij het 
apparaat dient uit te schakeien, door middel van de genoemde communicatie tussen het 
veiligheidsdeel en het regeldeel wordt getracht eerst het regeldeel de aangesloten belasting te Iaten 

30 afschakelen, waarna met een kleine vertraging het veiligheidsdeel de spanningen naar het regeldeel 

zal uitschakelen. 
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Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat na het afschakelen van het veiligheidsdeel getest wordt of de schakelaars van het 
regeldeel inderdaad als eerste de belasting hebben afgeschakeld en genoemde schakelaars dus in de 
gewenste geopende toestand zijn gekomen. 

Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat het veiligheidsdeel mag worden uitgerust met schakelaars die nonnaal gesproken een 
voor dit doel te korte elektrische levensduur hebben, maar die nochtans kunnen worden ingezet 
omdat ze behalve in het uiterste geval tijdens het gebruik geen schakelbelasting ondergaaa 



7. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat wanneer het regeldeel door een fout met in staat is een belasting uit te schakelen deze 
functie door gebruikmaking van de genoemde commurucatie kan worden overgenomen door het 
veiligheidsdeel, waardoor de te regelen grootheid zoals temperatuur of druk niet hoeft te sujgen tot 

15 de maximaal ingestelde waarde die in het geheugen van het veiligheidsdeel is opgeslagen. 

8. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat na het constateren van een fout zowel het veiligheidsdeel als het regeldeel in een 
vergrendelde toestand worden gebracht waardoor het toestel na een netspanningonderbreking niet 

20 autonoom wederom in bedrijf kan komen. 

9. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat de sensoren van zowel het veiligheidsdeel als het regeldeel via stekerverbindingen op 
de elektronica aansloten kunnen worden, waardoor de sensoren en de elektronica tot aan de 

25 eindmontage van het apparaat verschillende logistieke wegen kunnen volgen. 

10. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat door de genoemde commurucatie tussen veiligheidsdeel en regeldeel het mogelijk is om 
de gemeten waarden met elkaar te vergelijken en op basis hiervan automarisch, bijvoorbeeld tijdens 

30 het productieproces, een kalibratie uit te voeren of bij te grote verschillen in meetwaarden het 

apparaat te kunnen uitschakelea 
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1 1. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat de relais- of schakelgroep van het veiligheidsdeel en eventueel ook de relais- of 
schakelgroep van het regeldeel gevoed kan worden door een schakeling als bijvoorbeeld 
weergegeven als in figuur 2 of bijvoorbeeld door een schakeling die gebruikmaakt van een 
5 transformator, waardoor de voedingsstroom snel wegvalt als de microcontroller (1) door een storing 

in een statische toestand zou komea 



12. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat de galvanische scheiding tussen het veiligheidsdeel en het regeldeel en de 
10 datacommunicatie tussen het veiligheidsdeel en het regeldeel door optocouplers zoals in figuur 1 is 

weergegeven ook door middel van een elektronische schakeling met transformatoren of 
condensatoren met een voldoende hoge doorslagspanning kan worden gerealiseerd. 



13. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
15 kenmerk, dat door de genoemde galvanische scheiding tussen het veiligheidsdeel en het regeldeel, 

het veiligheidsdeel een referentiepotentiaal krijgt welke aan de "neutral* van netspanning zal liggen 
en waarbij het regeldeel een referentiepotentiaal heeft dat aan de veiligheidsaarde ligt, waardoor het 
aansluiten van exterae apparaten, zoals bedieningsconsoles, aan het regeldeel kan geschieden zonder 
de toevoeging van extra optocouplers nu er geen aanrakingsgevaar voor de gebruiker bestaat 

20 

14. Een elektronisch veiligheidssysteem volgens een of meer der bovenstaande conclusies, met het 
kenmerk, dat op de microcontroller van het veiligheidsdeel netwerken kunnen worden aangesloten 
waardoor rechtstreeks spaimingen in de grootteorde van 230 volt gemeten kunnen worden, welke 
metingactiviteiten aangestuurd worden door een deel van de software dat in de processor van het 

25 veiligheidsdeel op een lagere prioriteit wordt afgehandeld. 
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